Na co dzień dane powierzamy różnym firmom – partnerom biznesowym, dostawcom usług, agencjom marketingowym, biurom rachunkowym i innym. To właśnie procesorzy, którzy na zlecenie administratora przetwarzają dane osobowe. Uregulowanie zasad współpracy administratora i procesora jest jednym z kluczowych elementów systemu ochrony danych. Aby upewnić się, że współpraca przebiegnie zgodnie z rozporządzeniem o ochronie danych (RODO), należy nie tylko dobrze skonstruować umowę powierzenia przetwarzania danych, ale też regularnie przeprowadzać audyt procesora.

Od 25 maja 2018 r. każda organizacja przetwarzająca dane osobowe (zarówno administrator danych, jak i procesor) powinna być zgodna z wymogami RODO. Samo wprowadzenie RODO może być dość kosztowne i czasochłonne. Dochodzi do tego ryzyko, że podmiot, któremu dane są powierzane, nie realizuje zasad współpracy i nie działa zgodnie z obowiązkami narzuconymi przez RODO. W praktyce niemal każda organizacja powierza dane osobowe swoim dostawcom – firmom kadrowym, płacowym, marketingowym czy szkoleniowym. Wszyscy ci dostawcy to właśnie procesorzy.

Jak kontrolować ich działalność? Podpisanie umów powierzenia przetwarzania danych osobowych z podmiotami przetwarzającymi to dopiero pierwszy krok ku zgodności z RODO. Drugim i niezbędnym krokiem jest stała kontrola, czyli audyt procesorów. Jest on o tyle ważny, że odpowiedzialność za zgodność działań podmiotów przetwarzających z RODO spoczywa solidarnie zarówno na administratorach danych, jak i na podwykonawcach.

W przypadku procesora mówimy prędzej o czynnościach, które podejmuje na polecenie administratora i realizuje on cele/prace określone przez administratora. Jako procesor może tu występować osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot. Procesor zyskuje informację, jak przetwarzać dane, ale może – na podstawie swoich doświadczeń i specjalizacji – zaproponować najlepsze narzędzia w tym celu, np. oprogramowanie. Przykładowymi czynnościami powierzonymi przez administratora danych osobowych procesorowi jest usługa przechowywania dokumentów, zewnętrzna obsługa kadrowo-płacowa, usługi księgowe, niszczenie dokumentów, usługi informatyczne albo usługi szkoleniowe.

Przepisy rozporządzenia RODO jasno wskazują, że to administrator odpowiada za prawidłowe i bezpieczne przetwarzanie danych osobowych, zarówno przez siebie, jak i przez podmiot, któremu powierzył taką usługę (procesora). Zatem to administrator powinien sprawdzić, czy procesor postępuje zgodnie z przepisami RODO, a także zgodnie z punktami zawartymi w umowie. Do tego służy audyt procesorów. Tutaj warto zaznaczyć, że w rozporządzeniu nie znajdziemy punktu, że audyty są konieczne, jednak wynika to z dobrej praktyki.

Audyt procesorów to ważna usługa weryfikująca, bez której administratorzy mogą narazić się na odpowiedzialność karno-finansową, nie wspominając o ryzyku naruszenia praw i wolności podmiotów danych. To wszystko może skutkować poważnymi konsekwencjami dla administratora. Dlatego jeszcze przed podpisaniem umowy z procesorem warto sprawdzić, czy stosuje on praktyki zgodne z RODO i czy możemy mu zaufać. Ponadto audyt powinien być przeprowadzany systematycznie po zawarciu umowy w trakcie jej trwania, aby mieć pewność, że procesor wywiązuje się ze swoich zadań – tutaj warto w umowie zaznaczyć, że poddanie się audytowi przez procesora jest wymagane.

Niezależnie, czy jesteśmy administratorem, czy procesorem, audyt wymaga przygotowania, a także wiedzy, jak go przeprowadzić. Na szczęście nie musimy tu bazować na własnych zasobach. Rozporządzenie RODO dopuszcza skorzystanie z usług wyspecjalizowanej firmy zewnętrznej – taką jest właśnie PBSG. Na zlecenie administratora możemy zweryfikować, czy firma, której powierzono dane, spełnia warunki RODO.

Jak to wygląda w praktyce? Każdy projekt zaczynamy od przygotowania i planowania. Ochrona danych osobowych to wrażliwa kwestia, tak samo jak audyt procesora, który może poczuć się zestresowany zewnętrzną kontrolą. Dbamy o komfort obu stron – nasi konsultanci są ciągle do dyspozycji, na bieżąco też informują o kolejnych etapach prac. Zależy nam przede wszystkim na rzetelnej i profesjonalnej współpracy, której rezultatem będzie bezpieczeństwo powierzonych danych osobowych, a także spokój na wypadek kontroli RODO.

Poczytaj więcej, jak wygląda audyt: Audyt procesorów w ramach bezpieczeństwa danych osobowych

• pewność, że działalność prowadzona jest zgodnie z RODO
• minimalizacja ryzyka związanego z transferem danych do nierzetelnych podmiotów zewnętrznych
• aktywność na tym polu jest dobrze widziana w przypadku kontroli urzędu nadzorczego lub audytu wewnętrznego

Z naszych usług mogą skorzystać sami procesorzy lub podprocesorzy, którzy chcą sprawdzić, czy spełniają wymogi RODO. Tutaj zapewniamy reprezentację podczas audytu administratora. Zadbamy o prawidłowy i zgodny z umową przebieg kontroli prowadzonej przez administratora. Przeanalizujemy również raport z kontroli i w przypadku stwierdzonych niezgodności przygotujemy odpowiednie rekomendacje, z uwzględnieniem ewentualnej renegocjacji umowy powierzenia.

Pamiętaj, realizacja obowiązku kontroli nie musi być obciążeniem ani dla administratora, ani dla podmiotu przetwarzające dane osobowe. Nie musi być też to długi proces dla obu stron. Zaletą jest to, że można skorzystać z opcji zdalnego audytu – wykorzystuje się wówczas ankiety, checklisty audytowe oraz analizę dokumentacji. Z wyspecjalizowanymi konsultantami audyt zgodności z RODO przebiegnie bezstresowo dla obu stron, a jej wynikiem może być umocnienie współpracy i wizerunku partnerów godnych zaufania.